DIRECTION DES CENTRALES NUCLEAIRES 
Montrouge, le 14 février 2020 Réf. : CODEP-DCN-2020-006024 Monsieur le Directeur du projet Flamanville 3 EDF - Direction du projet Flamanville 3 97 avenue Pierre BROSSOLETTE 
 92120 MONTROUGE
Objet : Contrôle des installations nucléaires de base EDF/DIPNN/ Direction du projet Flamanville 3 Inspection INSSN-DCN-2020-0299 Thème : Surveillance des AIP relatives au développement logiciel du système de protection Réf. : 
[1] Arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base [2] Directives Techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression, adoptées pendant les réunions plénières du GPR et des experts allemands les 19 et 26 octobre 2000 
[3] Note NLE-F DC 113 Teleperm XS based I&C systems quality plan [4] Note EDF ECECC070924 indice D : Contrat Areva NP YR4101 (contrat Chaudière) - programme de surveillance du service contrôle commande
[5] Note PELLI-G/2010/en/1114 indice B : RPN Source Range - Software Requirements Specification 
[6] Note D02-ARV-01-105-009 indice D : Traitement des anomalies, des non-conformités et des dérogations 

## Monsieur Le Directeur,

Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) fixées à l'article L. 592-22 du code de l'environnement et en vertu du second alinéa de l'article L. 596-14 du même code, une inspection a eu lieu le 20 janvier 2020 chez Framatome, fournisseur du logiciel du système de protection de Flamanville 3. Cette inspection portait sur la surveillance d'EDF des activités importantes pour la protection (AIP), telles que définies dans l'arrêté en référence [1], réalisées par Framatome dans le cadre du développement du logiciel du système de protection du réacteur EPR de Flamanville. J'ai l'honneur de vous communiquer, ci-dessous, la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites à cette occasion par les inspecteurs. 

## Synthèse De L'Inspection

Le logiciel du système de protection du réacteur EPR de Flamanville assure des fonctions nécessaires à l'atteinte de l'état contrôlé en cas de transitoire, d'incident ou d'accident de référence. Ainsi, conformément aux Directives Techniques en référence [2], le concepteur, Framatome, a mis en place des règles pour le développement de ce logiciel. Le développement du logiciel comporte les activités de conception, mais aussi les activités de vérification et de validation (V&V). Les règles pour le développement du logiciel de protection de Flamanville 3 sont décrites dans le plan qualité en référence [3], lequel identifie également les AIP soumises à la surveillance d'EDF conformément à l'arrêté en référence [1]. Pour assurer cette surveillance, EDF a recours à l'assistance d'Edvance. Lors de leur inspection du 20 janvier 2020, les inspecteurs ont examiné la gestion des compétences, des modifications et des écarts relatifs aux activités de développement du logiciel réalisées par Framatome. Ils ont également contrôlé la surveillance qu'EDF exerce sur ces activités. Concernant la gestion des compétences, les inspecteurs ont constaté une nette diminution des ressources humaines allouées par Framatome au développement du logiciel du système de protection entre 2015 et 2017. Ils ont néanmoins observé une augmentation des effectifs à partir de 2018, ainsi que des actions satisfaisantes concernant la formation et le maintien des compétences. Par ailleurs, si les processus de gestion des modifications et de gestion des écarts apparaissent aujourd'hui robustes et performants, les inspecteurs ont constaté que la traçabilité de la mise en œuvre du plan qualité [3] comportait des lacunes et que ce plan ne décrivait pas exactement l'organisation mise en œuvre pour le développement de la version V6.1 du logiciel de protection. 

Concernant le programme de surveillance, les inspecteurs ont constaté que les éléments du système de gestion intégré d'EDF définissant le programme et les modalités de la surveillance des AIP réalisées par Framatome dans le cadre du développement du logiciel du système de protection de Flamanville 3 n'étaient plus à jour suite au transfert d'activités de surveillance à Edvance. 

Enfin, au sujet du recours à l'assistance d'Edvance pour la surveillance de Framatome, vos représentants ont informé les inspecteurs que les exigences d'indépendance et d'impartialité mentionnées au 2.2.3 de l'arrêté en référence [1] faisaient l'objet de dispositions particulières. En conclusion, les inspecteurs considèrent que, bien que la gestion actuelle des compétences, des modifications et des écarts soit satisfaisante, la réalisation et la surveillance des activités importantes pour la protection demeurent perfectibles sur certains points. Notamment, la surveillance de ces activités ne doit pas se limiter à un examen documentaire et la description de son organisation doit être tenue à jour dans le système de gestion intégré. Enfin, les inspecteurs rappellent que les dispositions prévues par le plan qualité en référence 
[3] permettent de garantir la qualité du développement du logiciel. Il est ainsi nécessaire de veiller à son application rigoureuse dans le cadre du développement de la version du logiciel de sûreté que vous prévoyez d'implémenter pour la mise en service de Flamanville 3. 

## A. Demandes D'Actions Correctives A.1. Mise À Jour Du Système De Gestion Intégré D'Edf

Lors de leur examen de la surveillance exercée par EDF, les inspecteurs ont examiné la note en référence [4] définissant les modalités et le programme de surveillance du service contrôle commande. Ils ont constaté que cette note n'était plus représentative de l'organisation mise en œuvre, EDF étant assistée par Edvance pour la majorité des activités de surveillance. 

La surveillance des activités importantes pour la protection constitue une exigence réglementaire, fixée par l'article L593-6-1 du code de l'environnement. L'ASN rappelle que, conformément au II de l'article 2.4.1 de l'arrêté en référence [1], le système de gestion intégré précise les dispositions mises en œuvre en termes d'organisation et de ressources de tout ordre pour répondre notamment aux exigences fixées par la réglementation. 

Il convient donc de mettre à jour votre système de gestion intégré. Demande A.1 : Je vous demande de mettre à jour votre note précisant les dispositions mises en œuvre en termes d'organisation et de ressources pour la surveillance des AIP réalisées par Framatome dans le cadre du développement du logiciel du système de protection de Flamanville 3. Vous me transmettrez cette note mise à jour. 

## A.2. Définition Du Programme De Surveillance

Les inspecteurs ont examiné le programme de surveillance d'EDF sur les AIP réalisées par Framatome dans le cadre du développement du logiciel du système de protection de Flamanville 3. Ils ont observé que ce dernier se limitait à un examen exclusivement documentaire des éléments transmis par Framatome pour observation ou pour information, dont le plan qualité en référence [3]. Ce document décrit les processus de conception du système de protection et les dispositions à respecter afin de garantir un niveau de qualité du logiciel satisfaisant. L'analyse de certains écarts, ainsi que le retour d'expérience que vous avez recueilli ont montré des lacunes dans l'application de certaines de ces dispositions, qui n'avaient pas été mises en évidence par la surveillance. Si le volume de documents surveillés apparaît proportionné aux enjeux, l'ASN considère pertinente l'intégration, dans votre programme, de la surveillance de la conformité de l'exécution des AIP vis-à-vis du plan qualité en référence [3]. En effet, en l'état, votre surveillance ne permet pas de contrôler que les AIP sont réalisées selon les règles préconisées par le plan qualité en référence [3]. Demande A.2 : Je vous demande d'inclure, dans le programme de surveillance, la vérification du respect du plan qualité. Vous justifierez la pertinence et la suffisance du programme de surveillance compte tenu des enjeux pour les intérêts protégés et du retour d'expérience de sa mise en œuvre. 

## B. Compléments D'Information B.1. Respect Du Plan Qualité En Référence [3]

Afin de contrôler par sondage la bonne application du cycle V&V, les inspecteurs ont examiné les mises à jour documentaires entrainées par la montée à l'indice B de la note en référence [5]. En effet, la modification de cette note entraine la révision de plusieurs documents techniques dans un ordre chronologique défini par le plan qualité en référence [3]. 

En séance, les inspecteurs n'ont pas pu complètement s'assurer du respect de la chronologie des modifications réalisées suite à la mise à jour de cette spécification technique. Demande B.1.1 : Je vous demande de me démontrer que les mises à jour documentaires réalisées à la suite de la montée à l'indice B de la note en référence [5] l'ont été conformément aux exigences fixées par le plan qualité en référence [3]. Par ailleurs, les inspecteurs ont constaté que le développement de la version 6.1 ne respectait pas le déroulement prévu par le plan qualité en référence [3]. En effet, les inspecteurs ont constaté que les phases 1 et 2, ainsi que les phases 3 et 4 définies dans le plan qualité en référence [3] étaient fusionnées. Vos représentants ont justifié cet allègement par le faible nombre de modifications associées à cette version. Or, l'organisation prévue pour le développement du logiciel de protection de Flamanville 3 définie dans le plan qualité en référence [3] participe à la démonstration du niveau de qualité et de fiabilité du logiciel. Ainsi, le non-respect anticipé des exigences associées à une activité et référencées dans le plan qualité en référence [3] doit faire l'objet d'une demande de dérogation. Conformément à la note en référence [6], les demandes de dérogations doivent faire l'objet d'une analyse. En séance, les inspecteurs n'ont pas pu examiner le traitement des demandes de dérogation. Demande B.1.2 : Je vous demande de me transmettre, pour chaque version du logiciel du système de protection développée, la liste des dérogations au plan qualité en référence [3]. Pour les dérogations soumises à acceptation du client, vous me transmettrez également les éléments d'analyse vous ayant permis de vous prononcer sur l'acceptabilité de ces dérogations. 

## B.2. Impact De La Mise À Jour Du Logiciel Sur La Représentativité Des Essais De Démarrage

Vos représentants ont indiqué aux inspecteurs que la version du logiciel du système de protection prévue pour la mise en service (V7) était différente de celle implémentée lors de la réalisation des essais à chaud (V6.1). La version V7 constitue une mise à jour majeure de la version V6.1, ce qui interroge sur la représentativité de la configuration du contrôle commande lors des essais. 

Demande B.2 : Je vous demande de justifier que les essais réalisés avec la version V6.1 du logiciel du système de protection sont représentatifs de la configuration qui sera utilisée en exploitation. Vous me transmettrez, le cas échéant, la liste des essais à reprendre. Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et de préciser, pour chacun, l'échéance de réalisation. Conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). 

Je vous prie d'agréer, Monsieur le Directeur, l'expression de ma considération distinguée. 

Signée par **l'adjointe au directeur des centrales nucléaires,** 
Stéphanie PEIRO 